Liste de contrôle de préparation à l'ISO/IEC 27001

Les auditeurs attendent une liste des parties intéressées (clients, autorités, fournisseurs, personnel) et des exigences, y compris légales et contractuelles, que le SMSI prend en charge.

L'amendement 1 de février 2024 ajoute à l'article 4.1 que l'organisme doit déterminer si le changement climatique est un enjeu pertinent, et à l'article 4.2 une note indiquant que les parties intéressées pertinentes peuvent avoir des exigences liées au changement climatique. Les auditeurs vérifient que la décision est prise et consignée, même si la réponse est négative.

La déclaration indique les sites, entités, systèmes et services couverts et justifie les exclusions. Elle figure sur le certificat et doit donc être précise.

La politique doit inclure ou encadrer les objectifs de sécurité, engager à l'amélioration continue et être communiquée en interne. Les auditeurs interrogent directement la direction.

Une personne doit être chargée de la conformité du SMSI et du compte rendu de ses performances à la direction, généralement via une matrice RACI ou des fiches de rôle.

Des appréciations répétées doivent produire des résultats cohérents, valides et comparables. Les résultats doivent être conservés sous forme d'informations documentées.

Pour chaque risque, choisir les options de traitement et les mesures nécessaires, puis les comparer à l'annexe A pour vérifier qu'aucune mesure nécessaire n'a été omise.

Pour chaque mesure, indiquer si elle est retenue, la justification de son inclusion ou exclusion et si elle est mise en œuvre. Les auditeurs s'en servent pour planifier leur échantillonnage.

Les objectifs doivent être cohérents avec la politique, surveillés et mis à jour, par exemple des délais de correctifs ou des taux de formation.

Le personnel doit connaître la politique, sa contribution et les conséquences d'une non-conformité. Les auditeurs peuvent interroger des salariés au hasard.

Les documents doivent être identifiés, revus et protégés, et les documents d'origine externe pertinents doivent aussi être identifiés et maîtrisés.

Les auditeurs vérifient que les changements planifiés et les processus externalisés sont maîtrisés et que les enregistrements de risques sont à jour, pas un exercice ponctuel.

Les indicateurs doivent alimenter l'évaluation des performances et de l'efficacité du SMSI, pas seulement figurer sur un tableau de bord.

Conserver le programme d'audit, les rapports et les constats. Les auditeurs ne doivent pas auditer leur propre travail.

Les éléments d'entrée incluent résultats d'audit, non-conformités, état des risques, objectifs, évolutions des parties intéressées et opportunités d'amélioration. Les sorties sont des décisions et actions.

Un registre des actions correctives avec preuves de clôture démontre l'amélioration continue en pratique.

Nouveau en 2022 (A.5.7 Renseignements sur les menaces). Preuves : flux abonnés, avis de CERT et actions qui en découlent.

Les auditeurs vérifient le moindre privilège, la gestion des arrivées, mutations et départs et les revues d'accès périodiques (voir aussi A.5.16 à A.5.18).

Couvre la responsabilité partagée, les exigences de sécurité envers le fournisseur et la stratégie de sortie pour chaque service en nuage concerné.

Les auditeurs attendent une procédure documentée, des rôles définis et des enregistrements d'incidents réels ou simulés. A.6.8 couvre le signalement des événements par le personnel.

Les objectifs de reprise doivent découler d'un bilan d'impact sur l'activité, et les tests de bascule ou de restauration doivent être enregistrés.

Conserver les preuves de suivi et adapter le contenu aux rôles. La sélection des candidats (A.6.1) et les termes et conditions du contrat de travail (A.6.2) complètent les preuves d'intégration.

Généralement alarmes, vidéosurveillance ou gardiennage avec journaux conservés. En cas d'activité entièrement à distance ou en nuage, documenter l'application aux bureaux et aux fournisseurs.

Les auditeurs échantillonnent les rapports d'analyse et comparent les dates de correction aux délais de votre politique.

Nouveau en 2022. Preuves courantes : référentiels de durcissement, infrastructure as code et détection des dérives.

Nouveau en 2022. Un produit DLP n'est pas obligatoire : classification, contrôle des flux sortants et restrictions e-mail ou USB peuvent suffire selon les risques.

Les auditeurs demandent le périmètre, la durée de conservation, la protection des copies et des preuves datées de tests de restauration.

Nouveau en 2022. Présenter les règles d'alerte, les responsables et des exemples d'alertes traitées, en s'appuyant sur la journalisation (A.8.15).

Nouveau en 2022. Preuves : règles de codage, traces de revue et analyse statique dans la chaîne CI (voir aussi A.8.25 à A.8.29).